VPN গেটওয়ে ও ক্লায়েন্ট ভূমিকার জন্য AD CS টেমপ্লেট নকশা

একটি এন্টারপ্রাইজ CA কখনো নিজে গেটওয়ে না হয়েও VPN-এর প্রয়োজনীয় প্রতিটি সার্টিফিকেট ইস্যু করতে পারে। নকশার কাজ হলো ঠিক করা প্রতিটি সমকক্ষকে কী প্রমাণ করতে হবে, তারপর কোন টেমপ্লেট ঠিক তা প্রমাণ করে এমন প্রত্যয়নপত্র ইস্যু করতে পারে। আমি একটি ভূমিকা সারণি দিয়ে শুরু করি, উপযুক্ত টেমপ্লেট জায়গায় সম্পাদনার বদলে তা নকল করি, প্রতিটি ভূমিকার জন্য সাবজেক্টের উৎস স্থির করি, ফলাফল ইস্যুকারী CA-তে প্রকাশ করি, এবং কেউ এটি স্বয়ংক্রিয় করার আগে একজন পাইলট নথিভুক্ত করি। নিচের প্রতিটি ধাপ এমন জায়গা যেখানে একটি সচল CA এখনও এমন সার্টিফিকেট তৈরি করে যা VPN প্রত্যাখ্যান করবে।

টেমপ্লেট কনসোল খোলার আগে ভূমিকা সারণি লিখুন

দুই ভূমিকা, দুই উদ্দেশ্য। গেটওয়ে একটি সেবা-পরিচয় প্রমাণ করে, তাই তার সার্টিফিকেটে দরকার Server Authentication (1.3.6.1.5.5.7.3.1), ডিজিটাল স্বাক্ষর ও কী এনক্রিপশনের কী ব্যবহার, এবং ক্লায়েন্টরা যে হোস্টনামে সংযোগ করে তা সাবজেক্ট অল্টারনেটিভ নেমে। সার্টিফিকেট দিয়ে প্রমাণীকরণ করা ক্লায়েন্টদের দরকার Client Authentication (1.3.6.1.5.5.7.3.2) এবং এমন পরিচয় যা গেটওয়ে তার সমকক্ষ যাচাইয়ে প্রত্যাশা করে। ব্যবহারকারী সার্টিফিকেট ও কম্পিউটার সার্টিফিকেট পরস্পর বিনিময়যোগ্য নয়, কারণ তারা ভিন্ন স্টোরে থাকে এবং ভিন্ন প্রসেস তাদের ব্যবহার করে।

প্রতিটি ভূমিকার জন্য চারটি কলাম লিখুন: যে পরিচয় অবশ্যই দেখা যাবে, উদ্দেশ্য, কী-এর ব্যবহারকারী, এবং কী-টি মেশিন ছেড়ে যেতে পারে কি না। এই সারণিই পরে প্রতিটি চেকবক্স নির্ধারণ করে, এবং এটিই আপনি পর্যালোচকের হাতে দেন। পাসওয়ার্ডভিত্তিক ক্লায়েন্ট প্রমাণীকরণ আলাদা শাখা: যদি গেটওয়ে ব্যবহারকারীদের শংসাপত্র দিয়ে প্রমাণীকরণ করে, তবে ক্লায়েন্ট সার্টিফিকেট বিতরণ কোনো প্রমাণ না যোগিয়ে কেবল কাজ যোগ করে।

ভাগ করা টেমপ্লেট সম্পাদনার বদলে একটি টেমপ্লেট নকল করুন

প্রায় সঠিক উদ্দেশ্যযুক্ত টেমপ্লেট থেকে শুরু করুন, যেমন গেটওয়ের জন্য RAS and IAS Server বা ডোমেইন-যুক্ত ডিভাইসের জন্য Computer, তারপর তা নকল করুন এবং অনুলিপিকে এমন নাম দিন যা বলে এটি কীসের জন্য। অন্য সেবাগুলো ইতিমধ্যে ব্যবহার করে এমন টেমপ্লেট প্রশস্ত করা হলো সেই পরিবর্তন যা ছয় সপ্তাহ পরে অসংলগ্ন কিছু ভেঙে দেয়। অনুলিপিতে ভূমিকা সারণির উদ্দেশ্য অনুযায়ী অ্যাপ্লিকেশন নীতি নির্ধারণ করুন, কী ব্যবহার তার সাথে সামঞ্জস্যপূর্ণ রাখুন, আপনার গেটওয়েগুলো যে কী অ্যালগরিদম ও দৈর্ঘ্য গ্রহণ করে তা বেছে নিন, এবং অ্যাপ্লায়েন্সকে স্থানান্তরের জন্য রপ্তানি না লাগলে ব্যক্তিগত কী-কে অ-রপ্তানিযোগ্য চিহ্নিত করুন।

বৈধতা ও নবায়নও টেমপ্লেটের অংশ। সংক্ষিপ্ত আয়ু প্রত্যাহার করা সহজ ও পরিচালনা করা কঠিন; দীর্ঘ আয়ু নথিভুক্তির কাজ কমায় এবং ফাঁস হওয়া কী দীর্ঘ সময় উন্মুক্ত থাকার ঝুঁকি বাড়ায়। একটি সংখ্যা বাছুন যা আপনি যুক্তি দিয়ে রক্ষা করতে পারেন, এবং মনে রাখুন CA-এর নিজস্ব বৈধতা ও টেমপ্লেটের নবায়ন সময়কাল ফলাফল সংক্ষিপ্ত করতে পারে।

সাবজেক্ট কোথা থেকে আসে তা ঠিক করুন

ডোমেইন কম্পিউটার বা ব্যবহারকারীর জন্য ডিরেক্টরি তথ্য থেকে সাবজেক্ট তৈরি করুন যাতে অনুরোধকারী নাম টাইপ করতে না পারে। ডোমেইন-যুক্ত নয় এমন গেটওয়ে, বা যার পরিচয় AD-এর বাইরে নির্ধারিত হয় এমন ডিভাইসের জন্য টেমপ্লেটের বদলে একটি নিয়ন্ত্রিত অনুরোধ পথ দরকার। অনুরোধকারীর দেওয়া সাবজেক্ট ও অল্টারনেটিভ নাম সক্রিয় করা সত্যিকারের সিদ্ধান্ত: এটি প্রত্যেক নথিভুক্তকে যেকোনো নাম দাবি করার লাইসেন্স নয়, এবং CA-পক্ষের নীতিকে এখনও বলতে হবে কে চাইতে পারে ও কী প্রমাণ প্রয়োজন।

Windows IKEv2 এখানে কঠোর। গেটওয়ে সার্টিফিকেট ক্লায়েন্ট যে নাম কনফিগার করেছে তার সাথে মেলানো হয়, তাই DNS নামটি অবশ্যই সেখানে থাকতে হবে যেখানে ক্লায়েন্ট তা খোঁজে, সাধারণত সাবজেক্ট অল্টারনেটিভ নেমে একটি dNSName এন্ট্রি। বেমানান সার্টিফিকেট কাজ করানোর জন্য নাম যাচাই বা উদ্দেশ্য যাচাই বন্ধ করা সেই যাচাই সরিয়ে দেয় যা উৎপাদনে বেমানানতা ধরত।

টেমপ্লেট প্রকাশ করুন, তারপর অনুমতি সংকুচিত করুন

AD DS-এ টেমপ্লেট অবজেক্ট তৈরি করা এবং ইস্যুকারী CA-তে তা প্রকাশ করা আলাদা কাজ, ভিন্ন কনসোলে করা হয়। Certification Authority কনসোলের Certificate Templates-এর অধীনে অনুলিপিটি প্রকাশ করুন, তারপর কমান্ড লাইন থেকে যাচাই করুন যে CA এখন তা অফার করে:

certutil -CATemplates
certutil -TCAInfo

এরপর অনুমতি। যে গ্রুপগুলোর এটি অনুরোধ করা উচিত তাদের Read ও Enroll দিন এবং এর বেশি কিছু নয়, CA-এর নিজস্ব পঠন অ্যাক্সেস অক্ষত রাখুন, এবং Autoenroll কেবল সেখানেই দিন যেখানে স্বয়ংক্রিয় নথিভুক্তি অভিপ্রেত এবং তা কাজ করিয়ে তোলা স্থাপনা নীতি দ্বারা সমর্থিত। টেমপ্লেটের একটি চেকবক্স নিজে থেকে কিছু নথিভুক্ত করে না, এবং নথিভুক্তির অনুমতি ছাড়া প্রকাশিত টেমপ্লেট এমন পোর্টাল তৈরি করে যা সার্টিফিকেট তালিকাভুক্ত করে তারপর অনুরোধ প্রত্যাখ্যান করে।

প্রকৃত ভোক্তার মধ্যে একজন পাইলট নথিভুক্ত করুন

যে প্রসঙ্গে এটি ব্যবহার হবে সেখানেই সার্টিফিকেটের অনুরোধ করুন, তারপর ফাইলের নামে ভরসা না করে ফিরে আসা বিষয়বস্তু পরীক্ষা করুন। ব্যবহারকারী সার্টিফিকেট বর্তমান-ব্যবহারকারী স্টোরে এবং কম্পিউটার সার্টিফিকেট স্থানীয়-কম্পিউটার স্টোরে পড়ে, এবং MMC দুটোই দেখায়, তাই “কাজ করেছে” এমন নথিভুক্তিও VPN সেবার কাছে অদৃশ্য থাকতে পারে।

certlm.msc
certutil -dump vpn-gateway.cer

সাবজেক্ট, অল্টারনেটিভ নাম, বর্ধিত কী ব্যবহার ও চেইনের জন্য ডাম্প পড়ুন। নন-Windows গেটওয়ের জন্য ডোমেইন স্বয়ংক্রিয় নথিভুক্তি সেখানে পৌঁছায় ধরে নেওয়ার বদলে সমর্থিত কর্মপ্রবাহ দিয়ে অনুরোধ জমা দিন, এবং যাচাই করুন যে রপ্তানি করা বিন্যাসটি এমন যা ভোক্তা তার মিলে যাওয়া ব্যক্তিগত কী সহ আমদানি করে। সবশেষে, বিশ্বাস ও অনুমোদন আলাদা রাখুন: VPN-কে এখনও ঠিক করতে হবে কোন ব্যবহারকারী বা ডিভাইস কোন সম্পদে পৌঁছায়, এবং প্রত্যাহার কেবল তখনই অ্যাক্সেস সরায় যখন গেটওয়ে আদৌ প্রত্যাহার যাচাই করে। সার্টিফিকেট টেমপ্লেট পরিচালনার Microsoft নির্দেশিকা টেমপ্লেট কনসোল, অনুমতি এবং আলাদা প্রকাশের ধাপ কভার করে।